轮换根密钥（更新）

# ISP 专栏 - 2026年9月 来源：https://ispcol.potaroo.net/2026-10/kskroll.html *一篇关于互联网事务的专栏文章* 其他格式：PDF (https://ispcol.potaroo.net/2026-10/kskroll.pdf) TXT (https://ispcol.potaroo.net/2026-10/kskroll.txt) --- **根密钥轮换（更新）** 2026年10月 这是对今年五月发布的一篇文章的更新。在我撰写本文时，已经是10月8日，而 DNS 的根密钥计划于10月11日进行轮换。本次更新的主要新增内容是一份易受影响的 ISP 网络列表，这些网络显示出尚未将其 DNS 解析器的受信密钥集中添加密钥的 KSK Sentinel 信号，详见本文末尾。 轮换根密钥是*特殊的*，因为 DNSSEC 中的其他密钥都有一个父密钥的概念，用于验证密钥的真实性。对于区域签名密钥（ZSK），如果区域采用 ZSK 和 KSK 分离的方式，那么父密钥就是该区域的密钥签名密钥（KSK）。对于 KSK 而言，父密钥是用于签名父域中相应条目的密钥。对于这些从属于另一个密钥的密钥，只需要父密钥对新密钥值进行签名即可（准确地说，是对公钥组件的哈希值签名，并以签名的 DS 资源记录的形式发布在父区域中）。 根密钥则不同，因为它没有父密钥。DNS 解析器验证新密钥的方式是由旧 KSK 对新 KSK 进行签名（即"旧"签名"新"）。然后需要一个较长的过渡期，让进行 DNSSEC 验证的客户端有足够的时间获取并信任新密钥。[RFC 5011 "信任锚更新"](https://www.rfc-editor.org/rfc/rfc5011.html) 中描述的规范为这一过程提供了一些指导。该规范指出： "添加保留时间为30天，或者首个包含新密钥的信任点 DNSKEY RRSet 的原始 TTL 到期时间，以二者中较长者为准。这确保了解析器在接受该密钥之前，必须已经观察到至少两个包含新密钥且已验证的 DNSKEY RRSet。" 因此，新 KSK 被添加到根区域的 DNSKEY RRSet 中，使得进行验证的解析器在获取该资源记录时能够自动发现这个新密钥。按照规范，解析器应在连续观察到新密钥达到30天保留时间后，将该密钥值添加到其本地受信密钥缓存中。只要密钥轮换在每个阶段都遵守这些最低保留时间，整个过程就应该是自动化的。 2026年的密钥轮换不涉及算法变更，仅仅是更换私钥/公钥对。即将上任的 KSK（称为"KSK-2024"，表示密钥对最初生成的年份）于2024年7月发布在 IANA 网站上，并于2025年1月添加到根区域的 DNSKEY 资源记录中。IANA 计划于2026年10月11日轮换 KSK，届时它将用于生成根区域 DNSKEY 资源记录的数字签名。 这次 KSK 轮换进展如何？所有的 DNSSEC 验证递归解析器是否已经了解了 KSK-2024 并将其纳入其信任锚集合？我们如何衡量这一行为？ ### 信任信号 - RFC 8145 测量 有两种技术可以帮助我们深入了解互联网 DNS 基础设施，找出哪些 DNS 解析器已将 KSK-2024 添加到其本地信任锚集合中。第一种技术在 [RFC 8145](https://www.rfc-editor.org/rfc/rfc8145.html) "DNS安全扩展（DNSSEC）中的信任锚知识信号传递"中有描述。在这种技术中，解析器将其受信密钥的 key tag 嵌入到发送给根区域权威服务器的查询中。一种方式是将所有受信密钥的 tag 值放入查询名称中（例如，查询名称为 `_ta-4f66-9728` 表示解析器信任 tag 值为 20326 和 38696 的密钥）。另一种方式是将受信密钥的 tag 值嵌入查询中的 edns-key-tag 选项。这些信息在根服务器运营商管理的查询日志中是可见的。 图1展示了一个根服务器运营商（Verisign）对收到的 RFC 8145 信号的分析。 [](https://ispcol.potaroo.net/2026-10/fig1.png) *图1：解析器样本及其信任锚中配置的 KSK，截至2026年7月。（来源：https://blog.verisign.com/security/2024-2026-root-zone-ksk-rollover-updates-observations/）* 图1中的数据未显示的是使用这些递归解析器的用户群体。显然，一些 DNSSEC 验证递归解析器被大量使用，有时服务数百万用户，而另一些——包括我本地笔记本上的解析器——则只有我一个人使用！当这些数据显示约90%的报告解析器已将 KSK-2024 添加到其信任锚集合中时，这并不能直接转化为对这些递归解析器所服务的终端用户群体的估算，也无法估算在立即进行 KSK 轮换时可能受到影响的终端用户数量。 ### Key Sentinel - RFC 8509 测量 [RFC 8509 "DNSSEC的根密钥信任锚哨兵"](https://www.rfc-editor.org/rfc/rfc8509) 提出了一种不同的方法：递归解析器的受信密钥信号被折返回来发送给查询方，而不是继续传递给根区域服务器。该方法涉及 DNS 查询名称的最左侧标签，要求 DNS 解析器识别该标签，并根据解析器的受信密钥集合生成响应，如表1所示。如果与所提供的 key tag 受信状态相关的断言与本地状态不匹配，解析器返回 SERVFAIL 响应码。 | 标签 | 密钥受信时 | 密钥不受信时 | |---|---|---| | root-key-sentinel-is-ta- | 返回原始应答 | 返回 SERVFAIL | | root-key-sentinel-not-ta- | 返回 SERVFAIL | 返回原始应答 | *表1 - RFC 8509 测量响应* 例如，如果本地解析器信任 key tag 值为 20326 的 KSK（截至2026年10月8日的当前 KSK key tag），那么对名称 "root-key-sentinel-not-ta-20326.u564ee17a0.ap.dotnxadomain.net" 的查询将返回 SERVFAIL。您可以使用 Cloudflare DNS 团队运营的网页 https://dnstest.dev/ksk-2024/ 在您自己的 DNS 基础设施上运行这些测试。 我们使用 APNIC 的基于广告的测量系统，每天向一组终端用户发起这些查询。我们的目标不是识别各个验证递归解析器，而是量化那些完全位于尚未信任 KSK-2024 的 DNSSEC 验证解析器后面的终端用户群体。 我们使用的测试包含三个查询，如表2所示。配置了 DNSSEC 验证并支持此根密钥信任锚哨兵机制的解析器将提供 DNS 应答，也如表2所示。 | DNS 标签 | 应答 | |---|---| | https://root-key-sentinel-is-ta-20326... | NOERROR | | https://root-key-sentinel-not-ta-20326... | SERVFAIL | | https://root-key-sentinel-is-ta-38696... | ... | *表2 - RFC 8509 测量 KSK-2024 的响应* 前两个测试旨在通过测试解析器是否信任 KSK-2017（key tag 20326）来确定解析器是否支持此根密钥信任锚哨兵机制。如果不支持，它将在两种情况下都返回已验证的应答。如果它确实按表2返回应答，我们就可以将该采样点归类为"报告用户"。第三个查询旨在确定解析器是否已将 KSK-2024（key tag 38696）加载到其本地信任锚集合中。 #### 结果 10月5日使用 RIPE Atlas 探针进行的小规模测试中，位于2,900个不同自治系统（AS）的探针中发现1,230个探针的解析器行为与已加载新 KSK 的根密钥哨兵一致，有47个探针的解析器行为显示其未将新 KSK 值加载到本地受信密钥集合中，失败率为3.7%。 我们还使用广告进行了更大规模的测量，于2026年5月至7月进行，并于2026年10月初恢复，平均每天约1600万次测试。该测量关于 KSK-2024 作为信任锚采用率的每日结果如图2所示。 [](https://ispcol.potaroo.net/2026-10/fig2.png) *图2：2026年使用 RFC 8509 哨兵对 KSK-2024 作为信任锚的采用情况进行的每日测量* 这项更大规模的测试表明，约70%的测试支持 RFC 8509 功能，并报告 KSK-2024（即将上任的 KSK）已作为受信密钥加载。该测量的绝对规模如图3所示。 [](https://ispcol.potaroo.net/2026-10/fig3.png) *图3：2026年 RFC 8509 哨兵支持情况的每日测量* 虽然测量平台每天执行约1600万次测试，但每天只有约600万次测试显示被测终端系统位于 DNSSEC 验证递归解析器之后，每天约有180万次测试提供明确信号表明它们支持 RFC 8509 Key Sentinel 信号。这些平均数字帮助有限，因为它们掩盖了显著的差异，也掩盖了可能发现新密钥未被接受问题的位置。更有用的做法是列出那些 Key Sentinel 测试表明新密钥未被加载到本地受信密钥集合中的网络。 表4列出了过去一周 KSK-2024 接受率最低的50个网络。我对该列表进行了过滤，仅显示那些我们观察到至少1,000次测试表明其 DNS 解析器支持 Key Sentinel 机制的网络。如果您的 ISP 出现在此列表中，您可以使用 [Cloudflare 的测试脚本](https://dnstest.dev/ksk-2024/) 进行跟进，并要求 ISP 检查其 DNS 设置，因为 KSK 轮换后，ISP 解析器可能会遇到一些问题。 | AS编号 | KSK-2024 | 国家/地区 | 接受率 | 测试总数 | 验证解析器 | 支持 RFC 8509 | KSK-2024 | 非 KSK-2024 | 名称 | |---|---|---|---|---|---|---|---|---|---| | **262202** | CR | 哥斯达黎加 | 49.40% | 9,441 | 9,343 | 2,201 | 469 | 481 | Telefonica de Costa Rica, Costa Rica | | **328169** | SZ | 斯威士兰 | 48.90% | 4,694 | 4,687 | 1,199 | 276 | 288 | Swazi Mobile, Swaziland | | **328341** | ZA | 南非 | 48.90% | 2,551 | 2,522 | 1,352 | 284 | 297 | Capricorn Networks, South Africa | | **17470** | LK | 斯里兰卡 | 48.70% | 15,011 | 11,749 | 2,952 | 717 | 756 | Hutchison Telecoms, Sri Lanka | | **9335** | TH | 泰国 | 48.40% | 4,905 | 4,877 | 1,355 | 299 | 319 | National Teleco, Thailand | | **45925** | BD | 孟加拉国 | 48.20% | 7,886 | 7,811 | 2,046 | 465 | 499 | Teletalk, Bangladesh | | **29544** | MR | 毛里塔尼亚 | 47.90% | 41,149 | 40,758 | 8,032 | 1,842 | 2,003 | Mauritanian Telecommunication, Mauritania | | **30990** | DJ | 吉布提 | 47.40% | 9,472 | 9,393 | 2,701 | 641 | 711 | Dibjouti Telecom, Djibouti | | **329129** | LY | 利比亚 | 46.80% | 7,879 | 7,843 | 1,790 | 384 | 436 | Libya Tech, Libya | | **136336** | IN | 印度 | 46.00% | 8,113 | 6,972 | 1,818 | 353 | 414 | Thamizhaga, India | | **9658** | PH | 菲律宾 | 45.60% | 6,920 | 6,293 | 2,062 | 555 | 661 | Eastern Telecoms, Philippines | | **135300** | MM | 缅甸 | 45.40% | 5,813 | 4,600 | 1,150 | 228 | 274 | Myanmar Broadband, Myanmar | | **205368** | AM | 亚美尼亚 | 38.60% | 4,227 | 4,209 | 2,349 | 536 | 852 | Fnet, Armenia | | **24812** | UA | 乌克兰 | 32.00% | 10,791 | 3,437 | 1,322 | 205 | 436 | HomeNet, Ukraine | | **39065** | UA | 乌克兰 | 26.10% | 1,701 | 1,666 | 1,238 | 193 | 546 | Southern Telecommunications, Ukraine | | **15108** | US | 美国 | 16.40% | 17,966 | 17,209 | 15,036 | 2,014 | 10,282 | Allo Comms, United States | | **132199** | PH | 菲律宾 | 13.10% | 73,176 | 71,705 | 35,310 | 2,915 | 19,310 | Globe Telecom, Philippines | | **33915** | NL | 荷兰 | 12.70% | 170,615 | 19,642 | 13,292 | 1,328 | 9,105 | Vodafone Libertel, Netherlands | | **5056** | US | 美国 | 10.70% | 7,519 | 6,933 | 4,883 | 427 | 3,556 | Aureon Network Services, United States | | **12969** | IS | 冰岛 | 10.00% | 4,567 | 4,520 | 3,954 | 331 | 2,979 | Vodafone, Iceland | | **327931** | DZ | 阿尔及利亚 | 9.00% | 160,973 | 17,701 | 9,705 | 357 | 3,627 | Optimum Telecom, Algeria | | **58895** | PK | 巴基斯坦 | 8.20% | 13,757 | 5,584 | 3,034 | 128 | 1,432 | Ebone, Pakistan | | **16019** | CZ | 捷克 | 8.20% | 45,089 | 43,692 | 32,266 | 1,885 | 21,166 | Vodafone-CZ, Czechia | | **38195** | AU | 澳大利亚 | 6.20% | 24,038 | 19,612 | 16,004 | 787 | 11,931 | Superloop, Australia | | **53435** | US | 美国 | 5.20% | 2,320 | 2,089 | 1,050 | 366 | 61 | Jackson Energy, United States | | **203214** | IQ | 伊拉克 | 4.50% | 165,409 | 153,024 | 115,657 | 3,636 | 76,631 | HulumTele, Iraq | | **205889** | IQ | 伊拉克 | 4.50% | 4,836 | 1,750 | 1,102 | 306 | 36 | Giga Nineveh, Iraq | | **5690** | CA | 加拿大 | 4.40% | 1,983 | 1,936 | 1,659 | 61 | 1,323 | Vianet, Canada | | **56207** | PH | 菲律宾 | 4.20% | 12,110 | 11,720 | 6,860 | 149 | 3,399 | ComClark, Philippines | | **4775** | PH | 菲律宾 | 4.00% | 272,137 | 268,811 | 174,084 | 4,439 | 105,397 | Globe Telecoms, Philippines | | **15547** | CH | 瑞士 | 4.00% | 3,011 | 2,967 | 2,508 | 78 | 1,865 | Netplus, Switzerland | | **47794** | SA | 沙特阿拉伯 | 3.90% | 6,665 | 6,462 | 4,693 | 114 | 2,814 | Etihad GO, Saudi Arabia | | **17639** | PH | 菲律宾 | 3.70% | 259,256 | 255,140 | 165,934 | 3,830 | 98,347 | Converge, Philippines | | **31898** | US | 美国 | 3.10% | 2,104 | 2,073 | 1,619 | 39 | 1,230 | Oracle Corp, United States | | **203409** | IQ | 伊拉克 | 2.80% | 6,745 | 4,192 | 2,676 | 44 | 1,542 | Nawafeth Al-hadhara, Iraq | | **55836** | IN | 印度 | 2.50% | 6,075,237 | 5,084,127 | 3,114,217 | 35,837 | 1,400,178 | Reliance Jio, India | | **9534** | MY | 马来西亚 | 1.60% | 163,667 | 161,851 | 116,154 | 1,223 | 73,955 | MAXIS Binariang Berhad, Malaysia | | **6661** | LU | 卢森堡 | 1.50% | 10,391 | 10,197 | 9,132 | 113 | 7,493 | LU - POST, Luxembourg | | **37119** | AO | 安哥拉 | 1.40% | 63,226 | 62,103 | 41,113 | 308 | 21,624 | Unitel, Angola | | **24432** | BD | 孟加拉国 | 1.20% | 127,742 | 126,100 | 79,233 | 437 | 35,570 | TM International, Bangladesh | | **199739** | IQ | 伊拉克 | 1.20% | 217,762 | 217,286 | 163,587 | 1,293 | 110,580 | Earthlink Telecommunications, Iraq | | **14988** | BW | 博茨瓦纳 | 1.00% | 8,730 | 8,616 | 7,533 | 65 | 6,533 | Botswana Telecommunications, Botswana | | **48695** | SA | 沙特阿拉伯 | 0.90% | 1,742 | 1,741 | 1,395 | 10 | 1,144 | Etihad GO, Saudi Arabia | | **212661** | OM | 阿曼 | 0.90% | 12,634 | 12,574 | 9,765 | 62 | 7,163 | Vodafone-Oman, Oman | | **37054** | MG | 马达加斯加 | 0.70% | 19,313 | 19,117 | 13,628 | 62 | 8,476 | Telecom Malagasy, Madagascar | | **43766** | SA | 沙特阿拉伯 | 0.70% | 158,163 | 157,292 | 131,327 | 744 | 108,836 | Mobile Telecommunication, Saudi Arabia | | **29244** | BG | 保加利亚 | 0.70% | 33,217 | 33,072 | 23,809 | 102 | 14,943 | Telenor BG-AS, Bulgaria | | **56665** | LU | 卢森堡 | 0.60% | 3,790 | 3,727 | 3,273 | 15 | 2,625 | Proximus, Luxembourg | | **57293** | AZ | 阿塞拜疆 | 0.50% | 19,186 | 19,133 | 14,531 | 48 | 10,412 | Telekom MMC, Azerbaijan | | **327697** | RE | 留尼汪 | 0.40% | 1,883 | 1,876 | 1,450 | 4 | 1,045 | TELCO OI, Reunion | *表3：KSK-2024 信任信号率最低的50个 ISP 列表* ### 免责声明 以上观点不一定代表亚太网络信息中心（APNIC）的观点。 ### 关于作者 Geoff Huston AM, M.Sc.，APNIC（亚太地区区域互联网注册管理机构）首席科学家。 www.potaroo.net (https://www.potaroo.net/)